最后更新：2026年10月24日
我们认真对待SOKEN Contract Review服务（下称"服务"）及其基础设施的安全性。本政策说明如何向我们报告安全漏洞以及您可以期待的回应。
1. 范围
以下系统和资产属于安全报告的范围：
mcp.soken.dev的MCP服务器soken.dev/r/*的托管报告页面soken.dev/u/*的上传端点- soken.dev上的验证和管理页面
- 与本服务相关的公开源代码库
2. 范围外
以下内容不在范围内，请勿向我们报告：
- 第三方智能合约中的漏洞。本服务审查智能合约代码。合约本身发现的漏洞应向合约所有者或运营者报告，而非向SOKEN LTD报告。
- 报告发现的不准确性。报告是请求方自身AI客户端会话的自动化输出，而非SOKEN LTD的声明。如果报告包含实质性不准确的发现，请参阅我们的报告删除政策。
- 非SOKEN LTD运营的第三方服务和基础设施。
- 针对SOKEN LTD人员的社会工程攻击。
- 拒绝服务攻击（禁止测试或演示此类攻击）。
3. 参与规则
在对范围内系统开展安全研究时，您必须：
- 以诚信方式并遵守适用法律行事；
- 不访问、修改、删除或窃取属于其他服务用户的数据；
- 不降低本服务对其他用户的可用性或性能；
- 如遇到属于他人的个人数据或敏感信息，立即停止测试并及时报告问题；
- 在我们有合理机会评估并解决该漏洞之前，不公开披露该漏洞；
- 除向我们的报告中演示外，不将该漏洞用于任何其他目的；以及
- 在向任何其他方分享前，先向我们报告该问题。
4. 如何报告漏洞
请通过电子邮件将您的报告发送至hello@soken.dev。
您的报告应尽可能包含以下内容：
- 对漏洞及其潜在影响的清晰描述；
- 受影响的组件（例如：MCP服务器、托管页面、上传端点或特定代码库）；
- 重现漏洞的详细步骤或概念验证；
- 测试中使用的任何工具、脚本或配置；以及
- 您的联系方式，以便我们进行跟进。
安全报告的联系方式也以机器可读形式发布于mcp.soken.dev/.well-known/security.txt。
5. 我们的承诺
当您依据本政策报告漏洞时，我们将：
- 在3个工作日内确认收到您的报告；
- 在7个工作日内提供初步分类评估；
- 就评估和解决漏洞的进展向您通报；
- 在我们披露修复时（如您希望）将您注明为报告者，除非您要求匿名；以及
- 不对依据本政策开展的研究采取法律行动（见第6条）。
以上时间表为目标，不构成保证。复杂问题可能需要额外时间。如需更多时间，我们将及时告知您，并在调查进展中提供更新。
6. 安全港
如果您以诚信方式努力发现并报告第1条所列系统中的安全漏洞，并遵守第3条规定的参与规则，我们认为您的研究属于：
- 在适用的反黑客法律方面获得授权，我们不会因您的研究而对您发起或支持法律行动；
- 在适用的反规避法律方面获得授权，我们不会因规避技术控制措施而对您提出申索；以及
- 豁免于我们使用条款中原本可能禁止安全测试活动的限制，前提是该活动完全出于负责任披露的目的。
本安全港不延伸至对用户造成损害、损害服务可用性或涉及访问属于其他用户数据的行为。
7. 漏洞赏金计划
SOKEN LTD目前不运营付费漏洞赏金计划。对于特别重要或记录完整的报告，我们可能酌情提供奖励，但不应期望获得奖励。如果未来建立赏金计划，将在本页面公告。
8. 联系方式
安全报告：hello@soken.dev